Eine bisher nicht dokumentierte Cyberespionage-Operation, die den Namen SilkParasite Spionagekampagne trägt, soll Regierungen in Zentralasien ins Visier genommen haben. Wie aus einem technischen Bericht hervorgeht, nutzt der Angreiferverbund insgesamt sieben Remote-Access-Tool-Familien (RATs). Fünf dieser RATs waren demnach zuvor noch nicht öffentlich beschrieben.
Die Kampagne wurde nach Angaben der Analysten erstmals Ende 2025 entdeckt. In der Einschätzung der Sicherheitsanbieter handelt es sich um eine Bedrohungsgruppe mit Verbindungen zum chinesischen Raum – mit mittlerer Verlässlichkeit. Auffällig ist dabei nicht nur der Werkzeugkasten, sondern auch die Art, wie die Schadsoftware entwickelt und eingesetzt wird.
Neue RATs und ein modularer Werkzeugkasten
Im Kern besteht die SilkParasite Spionagekampagne aus mehreren RAT-Familien, die je nach Zielumgebung unterschiedliche Funktionen übernehmen. Von den sieben beschriebenen Implantaten gelten DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT und NodeEdgeRAT als besonders relevant, weil fünf davon zuvor nicht bekannt waren.
Das Zusammenspiel ist dabei offenbar stark plugin-orientiert. Laut Bericht können Operatoren Funktionen nach Bedarf erweitern und die Erkennungslage klein halten, indem sie nicht pauschal alles ausrollen, sondern gezielt nur das bereitstellen, was zur jeweiligen Situation passt.
Mehrere Programmiersprachen, ein gemeinsames Ziel
Ein weiteres Detail: Die sieben Implantate verteilen sich auf vier Programmiersprachen, darunter .NET, C++, Go und JavaScript. Als wiederkehrender Liefer- und Ausführungsmechanismus wird außerdem DLL-Sideloading genannt – ein Ansatz, bei dem eine Bibliothek an einer Stelle abgelegt wird, die eine legitime Anwendung beim Laden erwartet.
Phishing-Köder mit regionaler Ausrichtung
Die ersten Schritte der Angriffs-Kette beginnen dem Bericht zufolge mit Spearfishing. Dabei werden passwortgeschützte RAR-Archive versendet, die wiederum bösartige Microsoft-Office-Dokumente enthalten. Das Passwort zum Entpacken wird direkt in der E-Mail mitgeteilt.
Sobald das Dokument geöffnet wird, startet ein Makro, das eine Abfolge auslöst, bei der wiederum DLL-Sideloading genutzt wird, um einen ersten Stage-Payload abzulegen. Damit entsteht eine belastbare Grundlage, auf der sich die weiteren Module nachladen lassen.
So sehen die Köder in der Praxis aus
Die Analysten heben hervor, dass die Köder regional zugeschnitten waren. Wiederhergestellte Dokumente wirkten thematisch passend für staatliche Einrichtungen in Usbekistan, Turkmenistan, Kyrgyzstan, Tadschikistan und Kazachstan. Einige Dokumente im Material gaben zudem vor, bestimmte Ministerien zu adressieren.
Ein weiteres Dokument, das aus einer öffentlich zugänglichen Plattform zur Schadsoftware-Sammlung stammt, soll an eine georgische staatliche Stelle gerichtet gewesen sein. Durch diese Ausrichtung wird die Wahrscheinlichkeit erhöht, dass Empfänger die Dateien tatsächlich öffnen.
AI-gestützte Hinweise: nicht nur „AI-Malware“
Besonders spannend ist die Frage, wie stark künstliche Intelligenz in den Entwicklungsprozess hineinspielt. Die Berichte betonen dabei einen differenzierten Punkt: Es gehe nicht einfach darum, dass ein System durchgehend von einer KI generierte Malware ausliefert. Stattdessen seien Spuren zu erkennen, die auf AI-gestützte Entwicklung hindeuten – etwa im Code, der sonst eher nach erfahrenem Handwerk aussieht.
Der deutlichste Hinweis soll über einen phishing lure zu Tage getreten sein, der „unmissverständlich“ aus einer KI-gestützten Quelle stammen könnte. Gleichzeitig sei dieser Köder der einzige Bereich, in dem sich die Akteure aus Sicht der Analysten weniger sorgfältig zeigten. Daraus entstand die Möglichkeit, dass bestimmte Unschärfen sogar bewusst eingesetzt wurden, um Zuordnungsversuche (Attribution) zu erschweren.
Manipulation von Erkennung: Kaspersky-Check im Makro
Ein technisches Detail sticht ebenfalls heraus: Das Makro prüft offenbar, ob ein bestimmtes Sicherheitsprodukt installiert und aktiv ist, bevor es weiter ausführt. Das deutet auf Versuche hin, die Ausführung im Zielsystem an die Verfügbarkeit von Schutzmechanismen anzupassen. Gerade in der Region, so die Beobachtung, sei dieses Produkt weit verbreitet.
Typische Angriffs- und Ausbauwege
Ab dem initialen Zugriff setzt die SilkParasite Spionagekampagne offenbar auf mehrere Mechanismen, um das System zu erkunden und die eigene Präsenz zu stabilisieren. Das Malware-Set unterstützt dem Bericht zufolge unter anderem grundlegende Befehle zum Sammeln von Host-Informationen.
Außerdem werden Funktionen genannt, mit denen die Malware das eigene Binär- beziehungsweise Loader-Element überschreiben kann. Ergänzend kann auch das „Haupt“-Trusted-Binary aktualisiert werden – also das Ziel, das im Rahmen des DLL-Sideloading verwundbar ist. Schließlich ist auch vorgesehen, dass sich die Schadsoftware beenden und wieder deinstallieren kann.
Rollen der sieben RAT-Familien
Die Analysten beschreiben jede der sieben RAT-Familien mit spezifischen Eigenschaften. Diese Unterschiede helfen dabei, unterschiedliche Umgebungen flexibel zu adressieren.
- DriveSilkRAT (.NET/C++): Nutzt Google Drive als Command-and-Control (C2). Dabei wird ein bestimmter Ordner auf Aufgaben geprüft. Danach werden Befehle über ein In-Memory-Plugin-System verarbeitet, und Ergebnisse werden wieder im selben Ordner abgelegt. Das Modul unterstützt laut Bericht 12 Plugins für Prozesslisten, System- und Netzwerkerkundung, Dateimanagement und Command Execution.
- CookiETagRAT (C++): Stützt sich auf HTTP Cookie-/ETag-Response-Header, um als C2 Befehle zu empfangen und auszuführen.
- NomadRAT (C++): Verfügt über einen Haupt-Orchestrator sowie eine separate Transmitter-Bibliothek für den gesamten C2-Datenverkehr. Plugins werden nur dann vom Server geladen, wenn sie benötigt werden; so lässt sich der Funktionsumfang situationsabhängig erweitern.
- GoginRAT (Go): Ähnelt in der Architektur NomadRAT und nutzt ebenfalls einen separaten Transmitter für C2. Auch hier laufen Dateisystem- und Shell-Funktionen über eigenständige Plugins. Die Ergebnisse werden über einen gemeinsamen Callback weitergeleitet.
- NodeEdgeRAT (JavaScript): Fasst zentrale Fähigkeiten wie Command Execution, Dateiverwaltung und Dateitransfer in einem einzelnen Script zusammen.
Zu einer der Familien nennt Bitdefender außerdem Beobachtungen: Etwa 65 Instanzen von DriveSilkRAT wurden gesehen, überwiegend in der Asia-Region.
Backdoors und Toolketten: BLOODALCHEMY als Schlüsselbaustein
Die Zuordnung zum chinesischen Umfeld wird im Bericht auch über eine bestimmte Backdoor unterstrichen. Genannt wird BLOODALCHEMY, beschrieben als aktualisierte Version einer Variante namens Deed RAT, die wiederum als Nachfolger von ShadowPad eingeordnet wird. ShadowPad gilt in dem Kontext als Weiterentwicklung von PlugX.
Beide, ShadowPad und PlugX, werden in der Quelle als Werkzeuge beschrieben, die häufig von chinesischen Gruppen genutzt werden. Zusätzlich wird BLOODALCHEMY als Teil eines größeren Toolsets erwähnt, das über einen DLL-Loader eingesetzt wird, der mittels eines legitimen Binaries per Sideloading eingebracht wird.
Wann die Erkennung greift: Verhalten statt Signatur
Ein wiederkehrendes Muster, das sich durch die Kampagne zieht, ist DLL-Sideloading. Gleichzeitig machen die Analysten deutlich, dass allein der Name einer DLL nicht als „zuverlässiges Signal“ reicht. Entscheidend sei das Zusammenspiel: Eine legitim signierte Anwendung lädt eine Bibliothek, die daneben oder in einer erwarteten Struktur platziert wurde – und der Prozess läuft aus einer ungewöhnlichen Umgebung.
Darüber hinaus wird ein weiterer Punkt betont: Niedrig-volumige, plugin-basierte Implantate, die über legitime Cloud-Dienste arbeiten, lassen sich oft weniger gut über klassische mengenbasierte Erkennung (Volume-Based Detection) erwischen. Erfolgreicher sei demnach der Ansatz mit Verhaltensbaselines, die ungewöhnliche Beziehungen zwischen Prozessen und Netzwerk-Services hervorheben.
Warum das für Organisationen relevant ist
Für Behörden und Unternehmen, die in der Region oder mit entsprechenden Kontakten arbeiten, ist diese SilkParasite Spionagekampagne vor allem ein Hinweis darauf, wie professionell Phishing, Makro-Execution und DLL-Sideloading kombiniert werden können. Gleichzeitig zeigt der modulare Aufbau, dass Angreifer ihre Fähigkeiten ohne komplette Neuentwicklung anpassen können.
Wer Schutzmaßnahmen plant, sollte daher nicht nur nach bekannten Artefakten suchen, sondern auch die plausiblen Muster im Ablauf betrachten: auffällige Makro-Workflows, ungewöhnliche Prozesspfade, verdächtige Bibliotheken neben signierten Programmen sowie C2-Aktivitäten, die sich „leise“ in legitimen Diensten tarnen.
Fazit
Die Berichte zeichnen ein klares Bild: Die SilkParasite Spionagekampagne ist eine breit aufgestellte Operation, die Behörden in Zentralasien über regionangepasstes Spearfishing angreift. Mit sieben RAT-Familien, davon fünf neu dokumentiert, plus modularen Plugins und dem wiederkehrenden Einsatz von DLL-Sideloading entsteht ein Werkzeugkasten, der sich flexibel erweitern lässt.
Gleichzeitig liefern die beobachteten Spuren – einschließlich KI-gestützter Hinweise im Phishing-Köder und Indikatoren im Code – ein weiteres Puzzleteil dafür, wie sich moderne Angreiferentwicklungen von reiner „generischer“ Automatisierung absetzen. Für die Verteidigung wird damit vor allem eins wichtig: Erkennung über Verhalten, Zusammenhänge und ungewöhnliche Ausführungswege statt allein über statische Signaturen.
Quelle: https://thehackernews.com/2026/08/silkparasite-espionage-campaign-targets.html
